Apache Tomcat: DoS via busy wait during WebSocket close

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Apache Software Foundation Apache Tomcat

  • 11.0.0-M5 ve sonrası · 11.0.25 dahil öncesietkilenir · semver
  • 10.1.8 ve sonrası · 10.1.59 dahil öncesietkilenir · semver
  • 9.0.74 ve sonrası · 9.0.121 dahil öncesietkilenir · semver
  • 8.5.88 ve sonrası · 8.5.100 dahil öncesietkilenir · semver
  • 7.0.109 dahil öncesietkilenmez · semver

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2026-76183Apache Tomcat: Bypass of security constraints for WebSocket endpoints
  39İzleyin
• CVE-2026-86248Apache Tomcat: Fix for CVE-2026-34500 was incomplete. OCSP checks sometimes soft-fail with FFM even when soft-fail is disabled
  39İzleyin
• CVE-2026-86350Apache Tomcat: Regression in fix for CVE-2026-41293 can trigger request header mix-up
  36İzleyin
• CVE-2026-77762Apache Tomcat: Stale HPACK emitter injects trailers into recycled pooled Request
  32İzleyin
• CVE-2026-87022Apache Tomcat: WebSocket message smuggling with per-message-deflate
  30İzleyin
• CVE-2026-79677Apache Tomcat: WebSocket DoS due to lost asynchronous write timeout
  30İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.